您的位置:首页>>数码家电

被手机膜拜的指纹识别能确保安全吗?黑客称笑话

发布时间:2015-07-03 15:07:59  来源:互联网    采编:即时新闻  背景:

  最近一段时间,指纹识别又成了手机厂商们的一个噱头,这个号称芯片级的安全技术被标榜为比密码要安全N倍,可以确保安全,事实真的是这样吗?

  可惜指纹技术并不能拯救手机安全。

  物极必反,被厂家与用户过度神化的指纹识别功能也不是尽善尽美:iPhone5s发布后仅一天,欧洲最大的骇客团体 Chaos Computer Club 就宣布破解了TouchID ,并用视频记录了操作过程。

  图1:按压式指纹识别

  而在今年6月的MOSEC移动安全技术峰会上,360手机安全研究员申迪介绍了如何利用安卓手机厂商在实现芯片级安全解决方案TrustZone时造成的软件漏洞,在可信区域执行任意代码,将TrustZone完全攻破。

  而TrustZone正是目前很多带指纹识别的安卓手机确保安全的一个核心技术,一旦被完全攻破,获取指纹识别数据将变得很容易。

  申迪在MOSEC移动安全技术峰会的演示过程中表示,攻破搭载指纹识别系统的手机,最困难的是利用TrustZone中的漏洞,因为这是一个完全的黑盒,缺乏文档和必要的调试手段。据介绍,该次破解是利用内核上的“任意地址写固定值”漏洞,在获取内核代码执行权限后向TEE(可信运行环境)发起进一步攻击,最终绕过TrustZone的防护系统,可获取诸多敏感数据。

  说了这么多,TrustZone到底是什么?

  TrustZone是为保护敏感信息的一种硬件安全架构体系,把手机从硬件与软件上分成安全与普通两个区域。严格意义上讲,指纹识别只是安全区中的一小部分。

  图2:TrustZone的硬件架构

  在TrustZone的硬件架构中,整个系统都是为了保护安全区中的数据,防范设备可能遭受到的多种特定威胁。因此,安全区与普通区从硬件到软件都是被分割的,普通区第三方程序无法访问安全区中的敏感数据。

  体现于手机上的就是,TrustZone会把智能手机的使用模式分为两种,其一是普通使用,其二是安全使用(涉及敏感数据)。例如机主在日常游戏、打字时,手机停留在普通模式;而当机主需要支付、输入密码或者指纹时,手机就会自动切换到安全模式,保护数据不被其它程序访问。

  可惜,看起来很安全的TrustZone并不值得Trust。

  图3:TrustZone漏洞报告

  在2014年8月,几乎所有高通骁龙处理器都被爆出存在TrustZone高危漏洞。黑客可以依靠该漏洞攻破系统的保护机制,并获得用户隐私资料。支付保护技术、数字版权管理、BYOD(自带设备办公)等等都会成为攻击目标,甚至有可能彻底破坏系统的安全机制。也就是说,攻击者不仅能获得安全区中的敏感数据,还能直接进入支付等高权限场景,TrustZone的分区保护形同虚设。

  攻击TrustZone需要获得内核权限,在以往的一些议题中通常以执行内核代码为前提研究TrustZone的。而实际上往往需要组合2~3个0 day漏洞才能完成一次真实有效的TrustZone攻击。

  在今年6月举行的MOSEC移动安全技术峰会上,360安全研究员申迪证明了若组合利用TrustZone相关软件的两个漏洞,任意Android软件应用,都能够进入安全区获取敏感信息。并且申迪先是完成了手机常规OS的内核提权、以及禁用最新版本SE for Android;尔后又利用该漏洞侵入安全区,成功绕过诸多安全特性,获取到指纹等敏感信息。

  面对安全隐患,TrustZone又该何去何从?

  随着手机携带的功能越来越多,手机中私密信息的数量与重要程度也与日俱增。相应的,手机中的数据安全越来越得到重视,因为手机被破解,往往就意味着重要资料丢失、个人信息泄露、支付程序面临巨额损失……但从当前情况来看,手机对数据的保护,仍不能让大众放下心中的顾虑。

  曾经,指纹识别搭配TrustZone,一度被称作手机安全的最后一道防线。

  而如今,残酷的事实告诉我们,这最后一条防线也开始变得并不稳固。

  8月份即将在拉斯维加斯举行的世界黑帽大会BlackHat上,申迪将作为演讲嘉宾向全球黑客介绍有关Android系统TrustZone安全攻防的研究成果,并且现场演示从传感器中读取指纹数据的攻击利用。




关注ITBear科技资讯公众号(itbear365 ),每天推送你感兴趣的科技内容。

特别提醒:本网内容转载自其他媒体,目的在于传递更多信息,并不代表本网赞同其观点。其原创性以及文中陈述文字和内容未经本站证实,对本文以及其中全部或者部分内容、文字的真实性、完整性、及时性本站不作任何保证或承诺,并请自行核实相关内容。本站不承担此类作品侵权行为的直接责任及连带责任。如若本网有任何内容侵犯您的权益,请及时联系我们,本站将会在24小时内处理完毕。


返回网站首页 本文来源:互联网

本文评论
宏碁掠夺者Helios 700电竞本正式发布:最高i9+RTX2080
日前,宏碁在纽约进行了一场next@Acer的发布会,宏碁同时发布了多款游戏系列新品,其中最引人瞩目的...
日期:04-12
华为 P30 Pro 评测:一位面面俱到的艺术生丨模范评测
近年华为一直在相机功能上发力,继去年在 P20 Pro 首创三摄、在 Mate 20 系列 实现从长焦到超广角的...
日期:04-12
夏普公布旗下折叠屏:6.18寸 弯折30万次无压力
从2019年开始,折叠屏作为一种全新手机形态登上历史舞台。三星Galaxy Fold、华为Mate X、小米双折叠...
日期:04-12
别着急扔掉旧手机 你的电脑可能需要它
PC玩家中,不少人都会有在玩游戏时观测电脑硬件状态的习惯。比如查看游戏帧数、CPU频率、GPU频率或...
日期:04-12
HUAWEI P30系列国内发布,两大功能让你出行无忧
4月11日,全新一代HUAWEI P30系列旗舰手机在上海与国内消费者正式见面。拍照功能是HUAWEI P30系列最...
日期:04-11
闪修侠福利开挂 华为、小米用户有礼包拿
品质提升、推新不断,华为、小米手机的市场份额进一步攀升,而手机快修专家闪修侠的大数据系统显示...
日期:04-11
芒果TV首次为终端定制联合权益,HUAWEI P30系列独享双会员福利
4 月 11日,HUAWEI P30系列在上海东方体育中心正式发布。此次发布的HUAWEI P30系列将科技与艺术相结...
日期:04-11
闪修侠持续服务效能 服务运营中心已达40个
近日,手机快修专家闪修侠在武汉汉口,迎来了全国第40个服务运营中心。这也意味着闪修侠在持续提升...
日期:04-11
办公打印好帮手,联想小新国产自研性能优异
在决定合伙创业之前,张凯从没想过自己有一天会挑选打印机,想到刚租好的办公场地空间也不是很大,小巧...
日期:04-11
苏宁厨卫家装:凛冬如何活着?
随着国家提出“房住不炒”,并不断加大宏观调控,近年房地产市场转冷非常明显。数据不会...
日期:04-11
智能音箱市场品类繁多 360 VS小米谁更值得买?
近几年,智能音箱在各种智能硬件中脱颖而出,成为了最受欢迎的品类之一。而随着互联网科技巨头们纷...
日期:04-11
高效职场随行剧场 华硕灵耀Deluxe14大屏更畅快
全面屏是笔记本厂商暗中较劲的新战场,随着用户需求的提升、制作工艺的升级,常规的三边尽窄设计难...
日期:04-11
荣耀20i真机视频亮相:主打3200万AI自拍
荣耀官方宣布将于4月17日在北京正式发布荣耀20系列的首款新机荣耀20i,根据此前荣耀战略和品牌发展...
日期:04-11
高通骁龙865曝光:支持LPDDR5内存
伴随着骁龙855手机的陆续上市,高通下一代旗舰平台浮出水面。
日期:04-11
荣耀408宠粉节最新战报:荣耀V20喜提双销冠军
荣耀408宠粉节最新战报火热出炉!荣耀V20喜获4月8日全平台2500-3500价位段手机销量销售额双冠军!荣耀...
日期:04-10
412海信苏宁超级品牌日,五折秒杀打造大牌梦想家
4月,苏宁拉开“全民抢彩电”活动大幕,掀起彩电市场的焕新风暴。与此同时,4月12日,苏...
日期:04-10
升降设计+旋转双摄!三星A系列镜头很魔性,苹果都不敢这么玩!
此前三星官方宣布,A系列新机将在北京时间4月10日20:00在曼谷发布。同时今天三星一句“为什么...
日期:04-10
米家互联网空调“五虎上将”突袭米粉节,10小时销售额突破1亿元
4月9日,小米“2019米粉节”狂欢不停,捷报频传。今天上午11点,米家互联网空调销量突破6...
日期:04-09
夏普亮相CITE2019:打造完整生态系统力推8K普及
以“创新驱动发展,智慧赋能未来”为主题的CITE 2019于4月9日正式开幕,国内外众多高科技...
日期:04-09
畅享零界视野,全新vivo S1上手体验
近日,vivo全新系列产品 S1引起了广泛关注,该产品延续了vivo旗舰机型零界全面屏的出色设计,是手机...
日期:04-09